MongoDB 복제 세트: 인증 전 use-after-free로 서버가 충돌할 수 있음 (CVE-2026-118383)

무슨 일이 있었나요

2026년 11월 10일 MongoDB는 MongoDB Server의 복제 구성 요소에서 발생하는 use-after-free 취약점인 CVE-2026-118383을 공개했습니다. CVSS 점수는 9.0입니다. 이 결함은 새로 선출된 복제 세트 프라이머리가 캐치업을 마칠 때 발생할 수 있습니다. 인증이 필요 없는 요청으로 이를 유발할 수 있습니다. 그 결과 서버 프로세스가 예기치 않게 중지될 수 있습니다. 특정 조건에서는 서버 프로세스의 권한으로 임의 코드가 실행될 수도 있습니다.

The Hacker News에 따르면 위험은 뒤처져 있다가 페일오버 등의 과정에서 프라이머리가 된 복제 세트 구성원에 있습니다. MongoDB는 수정 버전을 배포했습니다. 이 취약점은 CISA의 알려진 악용 취약점 목록에 없으며, 어떤 출처도 공격 사례를 보고하지 않았습니다.

영향을 받는 대상

• 영향을 받음: 복제 세트의 구성원으로 실행되는 mongod 프로세스. 샤드 클러스터의 샤드 복제 세트와 구성 서버 복제 세트를 포함합니다.
• 영향을 받지 않음: 복제 세트에 속하지 않은 단독 mongod 인스턴스.

이 결함은 인증 이전에 유발될 수 있으므로 인증을 켜는 것만으로는 보호되지 않습니다. 신뢰할 수 없는 네트워크나 많은 애플리케이션 호스트에서 접근할 수 있는 복제 세트 구성원의 위험이 가장 큽니다.

지금 해야 할 일

1. 복제 세트 구성원을 목록화합니다. 각 MongoDB 서버에서 mongod가 복제 세트의 일부로 실행되는지 확인합니다(다음 섹션 참고). 단독 인스턴스는 이 CVE와 관련해 긴급 조치가 필요하지 않습니다.
2. 사용 중인 릴리스 시리즈의 수정 버전을 확인합니다. 아래에 링크된 MongoDB 티켓 SERVER-138119가 수정의 일부입니다. 수정 버전은 9.0.7, 8.3.16, 8.0.37, 7.0.48, 6.0.30, 5.0.35, 4.4.32입니다. 해당 시리즈의 버전을 확인하려면 SERVER-138175와 대조합니다.
3. 구성을 백업합니다. /etc/mongod.conf(또는 이에 해당하는 파일)를 저장하고 최근 데이터 백업이 있는지 확인합니다.
4. 구성원을 한 번에 하나씩 업그레이드합니다. 세컨더리부터 시작합니다. 패키지를 업그레이드하고(예: apt install mongodb-org 또는 dnf update mongodb-org), mongod를 재시작한 다음, rs.status()에서 해당 구성원이 다시 SECONDARY로 표시될 때까지 기다립니다. 그런 다음 프라이머리에서 rs.stepDown()을 실행하고 마지막으로 업그레이드합니다. 샤드 클러스터에서는 구성 서버 복제 세트와 모든 샤드 복제 세트를 업그레이드합니다.
5. 네트워크 접근을 제한합니다. 포트 27017(또는 사용자 지정 포트)은 애플리케이션 서버와 다른 클러스터 구성원에서만 접근할 수 있어야 합니다. 방화벽이나 bindIp로 이를 적용하며, 지금뿐 아니라 업데이트 후에도 유지합니다.
6. 충돌을 모니터링합니다. mongod 로그와 서비스 모니터링에서 특히 선출과 페일오버 전후의 예기치 않은 재시작을 확인합니다.

영향 여부 확인 방법

• mongod --version으로 버전을 확인하거나, mongosh에서 db.version()으로 확인합니다.
• mongosh에서 db.hello().setName으로 복제 세트 구성원 여부를 확인합니다. 이름이 반환되면 해당 인스턴스는 복제 세트 구성원이며, 업데이트되기 전까지 영향을 받습니다. 아무것도 반환되지 않고 rs.status()가 해당 인스턴스가 복제 기능 없이 실행 중이라고 보고하면 단독 인스턴스이며 영향을 받지 않습니다.
• 샤드 클러스터에서는 모든 샤드 구성원과 모든 구성 서버 구성원에서 이 확인을 실행합니다.
• 구성원이 해당 릴리스 시리즈의 수정 버전보다 오래된 버전이라면 업데이트합니다.

출처

• https://nvd.nist.gov/vuln/detail/CVE-2026-118383
• https://jira.mongodb.org/browse/SERVER-138119